用途：通过 Kibana Cases API 管理 SOC 案件，所有案件限定在 securitySolution 范围内，仅作用于 Elastic Security。适用于告警分类后建案、关联相关告警、添加调查备注、更新状态或严重级别、列出近期案件。不适用于 Observability 或 Elasticsearch 案件。
主要能力：create 创建案件（标题、描述、标签、严重级别）；find 按标签或关键词搜索；list 列出案件；get 获取详情；attach-alert 与 attach-alerts 关联单个或批量告警；add-comment 添加备注；update 更新状态、严重级别、标签（标签为合并而非替换）。
使用方式：首次使用需在 skills/security 目录执行 cd skills/security && npm install，并设置环境变量 KIBANA_URL 与 KIBANA_API_KEY（或写入工作区根目录 .env）。命令从工作区根目录运行，输出为 JSON，例如 node skills/security/case-management/scripts/case-manager.js create --title "..." --description "..." --tags "classification:malicious" --severity critical --yes。写操作默认需确认，代理调用时传 --yes。attach-alert/attach-alerts 需提供 --rule-id 与 --rule-name。
标签约定：classification:<值>、confidence:<分数>、mitre:<技术编号>、agent_id:<id>、rule:<名称>。严重级别映射：benign 0-19 为 low，unknown 20-60 为 medium，malicious 61-80 为 high，81-100 为 critical。
限制：syncAlerts 仅 Security 可用，默认开启，可用 --sync-alerts false 关闭；Kibana API 有速率限制，批量附加自动重试 429，单条附加建议间隔约 10 秒；Serverless 上 find --search 可能返回 500，改用 find --tags 或 list；find --tags 为精确匹配。报告结果须原样复制 API 返回的 ID、标题、严重级别与总数，零结果需明确说明。